Wie lang sollte ein Passwort sein?

Die Polizei empfiehlt mindestens zwölf Zeichen aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Die Verbraucherzentrale nennt mindestens 8, besser 12 Zeichen mit vier Zeichenarten; ab 25 Zeichen können zwei Zeichenarten genügen. Entscheidend ist zusätzlich, dass jedes Konto ein eigenes Passwort hat.

Muss ich Passwörter regelmäßig ändern?

Nach Angabe der Verbraucherzentrale nicht, wenn das Passwort stark ist; ändern sollten Sie es, wenn es in falsche Hände geraten sein könnte, etwa nach einem Datenleck oder Schadsoftware-Befall. Eine Polizeiseite zu Kontomissbrauch empfiehlt dagegen regelmäßige Wechsel.

Was passiert, wenn ich das Master-Passwort vergesse?

Dann kann es nach Angabe der Verbraucherzentrale unmöglich sein, die gespeicherten Daten wiederherzustellen. Das Master-Passwort sollte deshalb besonders stark sein, und die Passwortdatenbank sollte regelmäßig gesichert werden.

Sind SMS-Codes als zweiter Faktor sinnvoll?

Ein SMS-Code ist nicht die sicherste Wahl. Das BSI bewertet SMS-, E-Mail- und TOTP-Codes als nicht geschützt gegen Phishing, bei dem die Eingaben in Echtzeit weitergeleitet werden; Passkeys schneiden dort gut ab.

Sicherheit

Passwortmanager und Zwei-Faktor-Authentisierung: Einrichten im Büro mit 3 bis 10 Personen

Ein Passwortmanager erzeugt und speichert für jedes Konto ein eigenes Passwort, ein zweiter Faktor schützt zusätzlich die wichtigsten Zugänge. Zuerst das E-Mail-Konto und den Passwortmanager selbst absichern, dann Schritt für Schritt den Rest.

Stand: 11. November 2026 · ca. 6 Min. Lesezeit · 8 Quellen

Warum reicht ein einziges gutes Passwort nicht?

Wer ein Passwort für mehrere Dienste nutzt, öffnet nach einem Datenleck bei einem Dienst auch die anderen Konten. Sowohl Polizei als auch Verbraucherzentrale verlangen deshalb: nie dasselbe Passwort für mehrere Anwendungen (Quellen: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/sicherheitsk…, verbraucherzentrale.de/wissen/digitale-welt/datenschutz/starke-passwoe…). Bei Datenlecks gelangen Konten und Passwörter immer wieder in Listen im Internet, deshalb gilt: ein einzigartiges Passwort pro Konto (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/starke-passwoe…). Ohne Hilfsmittel merkt sich das niemand, daher empfiehlt die Polizei ausdrücklich Passwort-Manager (Quelle: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/sicherheitsk…).

Wie lang und wie komplex muss ein Passwort sein?

Eine einheitliche Mindestlänge gibt es nicht; die Empfehlungen liegen je nach Zweck zwischen 8 und 25 Zeichen (Stand: November 2026):

Quelle	Empfehlung
Polizei (Sicherheitskompass)	mindestens zwölf Zeichen, Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, nicht im Wörterbuch; für WLAN mit WPA2 mindestens 20 Zeichen
Verbraucherzentrale (Stand: 01.05.2025)	mindestens 8, besser 12 Zeichen mit vier Zeichenarten; ab 25 Zeichen können zwei Zeichenarten genügen

(Quellen: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/sicherheitsk…, verbraucherzentrale.de/wissen/digitale-welt/datenschutz/starke-passwoe…)

Praktisch heißt das: Im Passwortmanager zufällige Passwörter mit mindestens zwölf Zeichen erzeugen lassen, für das Master-Passwort und selten genutzte Zugänge eine lange Passphrase wählen. Zu meiden sind laut Polizei Namen von Familienmitgliedern und Haustieren, Geburtsdaten, Tastaturmuster wie „asdfgh“ und einfache Anhängsel wie ein „$“ am Ende eines schwachen Passworts; voreingestellte Passwörter sind sofort zu ändern (Quelle: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/sicherheitsk…).

Muss ich Passwörter regelmäßig wechseln?

Nach der Verbraucherzentrale nein. Lange wurde ein regelmäßiger Wechsel empfohlen, viele Menschen wählten dadurch aber eher schwächere, leichter merkbare Codes; deshalb gäben Sicherheitsbehörden wie das BSI diese Empfehlung nicht mehr aus. Stark gewählte Passwörter sollten nur geändert werden, wenn sie in falsche Hände geraten sein könnten, etwa nach einem Datenleck oder bei Schadsoftware auf dem Gerät (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/starke-passwoe…, Stand der Seite: 01.05.2025). Die Polizeiseite zu Konto- und Zahlungsdienstmissbrauch nennt dagegen regelmäßige Passwortwechsel als Schutzmaßnahme (Quelle: polizei-beratung.de/themen-und-tipps/sicher-handeln/onlinebetrug-masch…). Für den Büroalltag ist ein Wechsel nach konkretem Anlass (Datenleck, Phishing, ausgeschiedene Mitarbeitende) die nachvollziehbarere Regel; die Primärquelle des BSI war bei der Recherche nicht abrufbar, die Aussage stützt sich auf die Verbraucherzentrale.

Was kann ein Passwortmanager und wie sicher ist er?

Ein Passwortmanager ist ein digitaler Tresor für Zugangsdaten: Er speichert Passwörter in der Regel verschlüsselt, geschützt durch ein einziges Master-Passwort, und kann starke Passwörter automatisch erzeugen (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/sind-passwortm…, Stand der Seite: 09. Dezember 2025). Er kann auch vor Phishing schützen, indem er warnt, wenn die URL der aufgerufenen Seite nicht der gespeicherten entspricht (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/sind-passwortm…).

Die Verbraucherzentrale nennt folgende Pflichten beim Betrieb:

Das Master-Passwort muss besonders stark sein und darf nicht vergessen werden; bei Verlust besteht eventuell keine Möglichkeit, die Daten wiederherzustellen.
Zwei-Faktor-Authentisierung für den Manager aktivieren, wenn verfügbar.
Die Passwort-Datenbank regelmäßig sichern, Updates installieren und das Gerät mit PIN, Fingerabdruck oder Gesichtserkennung sichern.

(Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/sind-passwortm…)

Lokal oder Cloud, Browser oder Spezialprogramm?

Beide Speicherarten, lokal und in der Cloud, haben laut Verbraucherzentrale Vor- und Nachteile; die Cloud-Variante ermöglicht den Zugriff von mehreren Geräten über eine verschlüsselte Verbindung. Browser-eigene Passwortspeicher sind bequem, aber als Programme, die Passwortschutz nicht mit oberster Priorität behandeln, können Zugangsdaten relativ einfach von Schadsoftware ausgelesen werden. Ein spezialisierter Manager nutzt in der Regel stärkere Verschlüsselung und schützt auch bei Geräteverlust besser (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/sind-passwortm…). Für ein Team kommt es zusätzlich auf gemeinsame Tresore für Zugänge an, die mehrere Personen brauchen; das sollten Sie vor der Produktwahl in der Produktbeschreibung des Anbieters prüfen.

Was bringt die Zwei-Faktor-Authentisierung?

Bei der Zwei-Faktor-Authentisierung (2FA) kommt nach der Passworteingabe ein zweiter Nachweis hinzu, etwa ein Code per SMS, aus einer App, ein Hardware-Token oder ein Fingerabdruck. Die Verbraucherzentrale rät, vor allem das E-Mail-Postfach zusätzlich zu sichern: Wird dessen Passwort geknackt, können Kriminelle der Reihe nach die Passwörter anderer Konten zurücksetzen. Ähnlich sensibel sind Social-Media-Konten (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/zweifaktorauth…, Stand der Seite: 24.09.2024).

Welche Verfahren sind stärker?

Das BSI vergleicht Verfahren danach, ob der zweite Faktor auch gegen Phishing schützt, bei dem Angreifer die Eingaben über eine gefälschte Login-Seite sofort an den echten Dienst weiterleiten („Real-Time-Phishing“):

Verfahren	Schutz gegen Real-Time-Phishing laut BSI
E-Mail-TAN, SMS-TAN, TOTP-Apps	Schlecht
PushTAN-Apps, ChipTAN	Mittel
Synced und device-bound Passkeys, Online-Ausweisfunktion	Gut

(Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/2FA/it-s…)

Die Verbraucherzentrale sieht SMS- und E-Mail-Verfahren nicht mehr als sicherste Variante an (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/zweifaktorauth…). Der Kern der Methode bleibt, dass ein gestohlenes Passwort allein nicht zum Login genügt (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/zweifaktorauth…); die BSI-Tabelle bewertet nur den Schutz gegen Real-Time-Phishing.

Was passiert bei Geräteverlust?

Die Wiederherstellung sollte schon bei der Einrichtung geklärt werden. Viele Dienste erzeugen Wiederherstellungsschlüssel; Apps für den zweiten Faktor sind laut Verbraucherzentrale in der Regel an das Gerät gebunden, mit dem sie eingerichtet wurden. Vor einem Gerätewechsel das Verfahren bei jedem Konto deaktivieren und neu einrichten, oder Backup-Codes bereithalten (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/zweifaktorauth…). Ob die konkret genutzte App eine Sicherung oder Übertragung anbietet, ist produktabhängig und im Einzelfall zu prüfen.

Was sind Passkeys und ersetzen sie Passwörter?

Passkeys sind FIDO-Anmeldedaten, die Passwörter durch kryptografische Schlüssel ersetzen. Sie können sicher über die Geräte einer Person synchronisiert oder an ein bestimmtes Gerät gebunden sein. Zum Anmelden bestätigen Sie mit demselben Verfahren, mit dem Sie das Gerät entsperren, also Biometrie, PIN oder Muster. Die FIDO Alliance bezeichnet Passkeys als phishing-resistent (Quelle: fidoalliance.org/passkeys/). Das BSI bewertet synchronisierte wie gerätegebundene Passkeys gegen Real-Time-Phishing mit „Gut“ (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/2FA/it-s…).

Zwei Einschränkungen nennt die Verbraucherzentrale (Stand der Seite: 25. April 2024): Passkeys werden erst von wenigen Diensten angeboten, und bei Verlust des Geräts ohne Backup muss der Zugang zu jedem Dienst neu hergestellt werden. Backup-Codes, die beim Anlegen angeboten werden, sollten nicht auf dem Gerät mit den Passkeys liegen; in der Herstellercloud gespeicherte Passkeys lassen sich synchronisieren, binden aber meist an das jeweilige Betriebssystem (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/passkeys-als-a…). Heutige Details einzelner Anbieter können davon abweichen. Passkeys sind deshalb im Büro eine Ergänzung dort, wo ein Dienst sie anbietet, kein Ersatz für Passwortmanager und Wiederherstellungsplan.

Wie führe ich das in einem Büro mit 3 bis 10 Personen ein?

Unsere Empfehlung für die Einführung in dieser Reihenfolge:

Verantwortliche Person und Vertretung festlegen. Eine Person führt die Liste der Geschäftskonten (E-Mail, Bank, Buchhaltung, Domain, Cloud, Router), eine zweite kann bei Ausfall übernehmen.
Eine Teamlösung mit gemeinsamen Tresoren wählen. Persönliche Zugänge pro Mitarbeitenden, gemeinsame Einträge nur für Konten, die mehrere Personen brauchen. Klären, wem geschäftliche Einträge gehören.
Mit zwei Personen testen. Anmelden, Passwort teilen, Gerätewechsel und Wiederherstellung einmal tatsächlich durchspielen, bevor alle umsteigen.
Zuerst die wichtigsten Konten absichern. E-Mail-Postfächer und der Passwortmanager selbst bekommen einzigartige Passwörter und einen zweiten Faktor (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/zweifaktorauth…).
Wiederherstellungsweg dokumentieren. Backup-Codes und Wiederherstellungsschlüssel getrennt von den Geräten aufbewahren, auf denen sie gebraucht werden (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/passkeys-als-a… zu Backup-Codes).
Passkeys schrittweise ergänzen. Erst umstellen, wenn der Ersatzweg getestet ist.
Ausscheiden regeln. Zugriffe auf den Tresor entziehen und gemeinsam genutzte Passwörter, die die Person kannte, ändern; Anlass-Wechsel statt Routine-Wechsel.

Für die Absicherung gegen Phishing bleibt der Mensch entscheidend: Phishing erkennen. Und weil auch der beste Schutz versagen kann, gehört ein Backup dazu: Datensicherung.

Häufige Fragen

Wie lang sollte ein Passwort sein?: Die Polizei empfiehlt mindestens zwölf Zeichen aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Die Verbraucherzentrale nennt mindestens 8, besser 12 Zeichen mit vier Zeichenarten; ab 25 Zeichen können zwei Zeichenarten genügen. Entscheidend ist zusätzlich, dass jedes Konto ein eigenes Passwort hat.
Muss ich Passwörter regelmäßig ändern?: Nach Angabe der Verbraucherzentrale nicht, wenn das Passwort stark ist; ändern sollten Sie es, wenn es in falsche Hände geraten sein könnte, etwa nach einem Datenleck oder Schadsoftware-Befall. Eine Polizeiseite zu Kontomissbrauch empfiehlt dagegen regelmäßige Wechsel.
Was passiert, wenn ich das Master-Passwort vergesse?: Dann kann es nach Angabe der Verbraucherzentrale unmöglich sein, die gespeicherten Daten wiederherzustellen. Das Master-Passwort sollte deshalb besonders stark sein, und die Passwortdatenbank sollte regelmäßig gesichert werden.
Sind SMS-Codes als zweiter Faktor sinnvoll?: Ein SMS-Code ist nicht die sicherste Wahl. Das BSI bewertet SMS-, E-Mail- und TOTP-Codes als nicht geschützt gegen Phishing, bei dem die Eingaben in Echtzeit weitergeleitet werden; Passkeys schneiden dort gut ab.